CVE-2025-12529 in Cost Calculator Builder Plugin
Zusammenfassung
von VulDB • 10.09.2026
Das WordPress-Plugin „Cost Calculator Builder“ ist aufgrund einer unzureichenden Validierung des Dateipfads in der Funktion `deleteOrdersFiles()` in allen Versionen bis einschließlich 3.6.3 anfällig für das willkürliche Löschen von Dateien (arbitrary file deletion). Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateipfade in die Bestellungen einzuschleusen, wenn diese von einem Administrator gelöscht werden. Dies kann zur Remote Code Execution führen, wenn eine bestimmte Datei gelöscht wird (z. B. wp-config.php). Diese Schwachstelle erfordert, dass die Pro-Version „Cost Calculator Builder“ zusammen mit der kostenlosen Version installiert ist, um ausnutzbar zu sein.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.